- •Лекция 1 Понятие информационной безопасности. Основные составляющие.
- •Лекция 2 Распространение объектно-ориентированного подхода на информационную безопасность
- •Недостатки традиционного подхода к информационной безопасности с объектной точки зрения
- •Лекция 3 Наиболее распространенные угрозы
- •Лекция 4 Законодательный уровень информационной безопасности
- •Обзор российского законодательства в области информационной безопасности Правовые акты общего назначения, затрагивающие вопросы информационной безопасности
- •Закон «Об информации, информационных технологиях и о защите информации»
- •Другие законы и нормативные акты
- •Лекция 5 Стандарты и спецификации в области информационной безопасности Основные понятия
- •Механизмы безопасности
- •Классы безопасности
- •Информационная безопасность распределенных систем. Рекомендации X.800 Сетевые сервисы безопасности
- •Сетевые механизмы безопасности
- •Администрирование средств безопасности
- •Стандарт iso/iec 15408 «Критерии оценки безопасности информационных технологий» Основные понятия
- •Функциональные требования
- •Требования доверия безопасности
- •Лекция 6 Административный уровень информационной безопасности
- •Лекция 8 Основные программно-технические меры
- •Лекция 9 Идентификация и аутентификация, управление доступом
- •Парольная аутентификация
- •Одноразовые пароли
- •Сервер аутентификации Kerberos
- •Идентификация/аутентификация с помощью биометрических данных
- •Управление доступом Основные понятия
- •Ролевое управление доступом
- •Управление доступом в Java-среде
- •Лекция 10 Протоколирование и аудит, шифрование, контроль целостности
- •Активный аудит Основные понятия
- •Функциональные компоненты и архитектура
- •Цифровые сертификаты
- •Лекция 11 Экранирование, анализ защищенности Экранирование Основные понятия
- •Архитектурные аспекты
- •Классификация межсетевых экранов
- •Лекция 12 Туннелирование и управление
- •Управление Основные понятия
- •Возможности типичных систем
Закон «Об информации, информационных технологиях и о защите информации»
Основополагающим среди российских законов, посвященных вопросам информационной безопасности, следует считать закон «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 года номер 149-ФЗ (принят Государственной Думой 8 июля 2006 года). В нем даются основные определения, намечаются направления, в которых должно развиваться законодательство в данной области, регулируются отношения, возникающие при:
-
осуществлении права на поиск, получение, передачу, производство и распространение информации;
-
применении информационных технологий;
-
обеспечении защиты информации.
Процитируем основные определения:
-
информация - сведения (сообщения, данные) независимо от формы их представления;
-
информационные технологии - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов;
-
информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;
-
информационно-телекоммуникационная сеть - технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники;
-
обладатель информации - лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам;
-
доступ к информации - возможность получения информации и ее использования;
-
конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
-
предоставление информации - действия, направленные на получение информации определенным кругом лиц или передачу информации определенному кругу лиц;
-
распространение информации - действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц;
-
электронное сообщение - информация, переданная или полученная пользователем информационно-телекоммуникационной сети;
-
документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель;
-
оператор информационной системы - гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных.
В статье 3 Закона сформулированы принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации:
-
свобода поиска, получения, передачи, производства и распространения информации любым законным способом;
-
установление ограничений доступа к информации только федеральными законами;
-
открытость информации о деятельности государственных органов и органов местного самоуправления и свободный доступ к такой информации, кроме случаев, установленных федеральными законами;
-
равноправие языков народов Российской Федерации при создании информационных систем и их эксплуатации;
-
обеспечение безопасности Российской Федерации при создании информационных систем, их эксплуатации и защите содержащейся в них информации;
-
достоверность информации и своевременность ее предоставления;
-
неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия;
-
недопустимость установления нормативными правовыми актами каких-либо преимуществ применения одних информационных технологий перед другими, если только обязательность применения определенных информационных технологий для создания и эксплуатации государственных информационных систем не установлена федеральными законами.
Отметим, что в этих принципах явным образом фигурируют целостность (достоверность) и доступность (своевременность предоставления) информации.
В статье 9 Закона содержатся следующие положения:
-
Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
-
Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами.
-
Защита информации, составляющей государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне.
-
Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение.
Отметим, что в этой статье упор делается на конфиденциальность информации.
Статья 11 «Документирование информации» содержит следующие важные положения:
3. Электронное сообщение, подписанное электронной цифровой подписью или иным аналогом собственноручной подписи, признается электронным документом, равнозначным документу, подписанному собственноручной подписью, в случаях, если федеральными законами или иными нормативными правовыми актами не устанавливается или не подразумевается требование о составлении такого документа на бумажном носителе.
4. В целях заключения гражданско-правовых договоров или оформления иных правоотношений, в которых участвуют лица, обменивающиеся электронными сообщениями, обмен электронными сообщениями, каждое из которых подписано электронной цифровой подписью или иным аналогом собственноручной подписи отправителя такого сообщения, в порядке, установленном федеральными законами, иными нормативными правовыми актами или соглашением сторон, рассматривается как обмен документами.
Статья 16 целиком посвящена вопросам защиты информации. Процитируем ее полностью.
-
Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
-
обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
-
соблюдение конфиденциальности информации ограниченного доступа;
-
реализацию права на доступ к информации.
-
Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
-
Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
-
Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
-
предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
-
своевременное обнаружение фактов несанкционированного доступа к информации;
-
предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
-
недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
-
возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
-
постоянный контроль за обеспечением уровня защищенности информации.
-
Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
-
Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
В процитированной статье Закона фигурируют все три основных аспекта информационной безопасности: доступность, целостность и конфиденциальность. Кроме того, обязательным является отслеживание нарушений безопасности и постоянный контроль за обеспечением уровня защищенности информации.
Явным образом не упомянуты такие меры, как аккредитация, сертификация и лицензирование, но в пунктах 5 и 6 они, конечно, подразумеваются.
Таковы важнейшие, на наш взгляд, положения Закона «Об информации, информационных технологиях и о защите информации». На следующей странице будут рассмотрены другие законы РФ в области информационной безопасности.